BFV 加密中模數切換的限制是什麼？
我想了解 BFV 中模數切換的限制。
讓我們假設 $ q $ 表示密文模數和 $ t $ 表示明文模數。 $ q $ 設置為 $ 60 $ 位值和 $ t $ 被設定為 $ 20 $ 位值。
現在我們得到一個BFV密文 $ c $ 基於以上參數選擇。還假設由於全純運算，雜訊 e 在 $ c $ 在附近 $ 35 $ 位。
現在我可以將此密文切換為模數嗎 $ q’ $ 這是 $ 30 $ 位。
注意交換的密文仍應為 $ q’>2t|e’| $ , 其中 |e’| 是開關密文錯誤的無窮範數~ $ 5 $ 位。
簡而言之
考慮到你正在製作戒指 $ R_Q = \mathbb{Z}_Q[X] / \langle X^N + 1 \rangle $ . 根據經驗，您必須考慮模數切換後的雜訊大於 $ N $ . 特別是，它永遠不會只有 5 位，就像您的範例一樣，因為 $ N $ 通常大於 $ 2^{13} $ 在 FV 方案中。
更詳細。
假設你有一個 RLWE 密文 $ c = (a, b) \in R_Q^2 $ ， 和 $ b = a\cdot s + e + (q / t) \cdot m $ ，如在 FV 方案中。
與此答案中解釋的類似，但在我們執行模數切換後，使用多項式而不是向量 $ Q $ 對一些 $ q $ ，我們得到一個新的密文，其雜訊項為
$$ e’ := e \cdot q / Q + \epsilon’ + \epsilon \cdot s $$
兩者都在哪裡 $ \epsilon’ $ 和 $ \epsilon $ 是係數在區間內的多項式 $ [-1/2,, 1/2] $ .
通常，新的錯誤是真的 $ e’ $ 接近比例誤差 $ e \cdot Q / q $ 因為其他項比這個小。然而，當比例誤差變得太小時，這不再是正確的，因為 $ \epsilon \cdot s $ 開始主導規範 $ e’ $ ，這就是“模數切換的極限”。更詳細地說，規範 $ \epsilon \cdot s $ 可以大到 $ N \cdot || \epsilon || \cdot || s || $ . 因此，即使使用二進製或三元鍵（因此 $ || s || = 1 $ ）， 我們有 $ N \cdot || \epsilon || \cdot || s || = N \cdot || \epsilon || \approx N/2 $ .